Belediyeler ve Kamu Kurumları KVKK'ya Tabi mi? İdari Para Cezası Yerine Disiplin, VERBİS ve 2026/1301 Sayılı İlke Kararı

Kısa cevap: tabi. 6698 sayılı Kanun kamu kurumları için genel bir muafiyet getirmiyor; bir belediye, üniversite, il özel idaresi ya da bakanlık işlediği kişisel veriler bakımından tıpkı bir şirket gibi veri sorumlusudur. Aydınlatma, veri güvenliği, saklama süresi belirleme, başvuru cevaplama ve Sicile kayıt yükümlülükleri aynen geçerli. Fark yaptırımda başlıyor. Kanun'un 18. maddesinin ikinci fıkrası idari para cezalarının veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanacağını söylüyor, yani kamu tüzel kişisine bu kalemden ceza çıkmıyor. Aynı maddenin dördüncü fıkrası kamu tarafı için başka bir yol çiziyor: kabahat kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmişse, Kurulun yapacağı bildirim üzerine ilgili memurlar ve diğer kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir. Kuruma fatura kesilmiyor, hesabı ekranın başındaki personel ile o işi yönetmesi gereken yönetici veriyor.

Bu alanda en yeni ve en bağlayıcı metin 1 Temmuz 2026 tarihli ve 2026/1301 sayılı ilke kararı; 28 Temmuz 2026 tarihli, 33323 sayılı Resmî Gazete'de yayımlandı. Kurul, kamu tüzel kişiliğini haiz veri sorumlularının (kararın kendi ifadesiyle belediyeler, il özel idareleri, üniversiteler ve benzerleri) internet sitelerinde yayımladığı belgeleri inceledi ve şu verilerin sıklıkla yer aldığını tespit etti: ad, soyadı, anne adı, baba adı, yaş, TC kimlik numarası, adres, cep telefonu numarası, doğum yeri, meslek, uzmanlık alanı, görev yeri, unvan ve statü, hizmet yılı, sicil numarası, çalışılan birim, askerlik durumu, öğrenim durumu, kamu kurumlarının yaptığı kuralara konu taşınmaz bilgileri, sınav başvuru numarası, KPSS puanı, kabul ve ret bilgisi, mezun olunan okul, girilen sınavdaki doğru, yanlış ve net sayısı, başvurulan pozisyon, aday numarası, öğrenci numarası, sınava girememe nedeni, asil ve yedek bilgisi, eksik evrak bilgisi, hatta eski hükümlü olma durumu. Kararın çıkış noktası tek bir tespit: kişisel veri içeren bir belgeyi internete koymak o veriyi açıklamak ve üçüncü kişilerce elde edilebilir hâle getirmek demektir, dolayısıyla başlı başına bir işleme faaliyetidir.

Kararın istediklerini sıraya koyalım. İlk halka geçerli bir işleme şartı: paylaşım 5. maddeye, özel nitelikli veri varsa 6. maddeye dayanmalı, şart yoksa yayımlanmaması gerekiyor. Şart varsa iş bitmiyor, 4. maddedeki genel ilkeler devreye giriyor. Amacın gerçekleşmesi için minimum veri paylaşılacak, gerekli olmayan veriler için imha ve maskeleme gibi önlemler alınacak, yayının ne kadar süre erişilebilir kalacağı önceden belirlenecek ve süre sonunda paylaşıma son verilecek. Aydınlatma, 10. madde ile 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan Tebliğ'e uygun yapılacak; kararın altını çizdiği nokta, aydınlatmanın yerine getirildiğini ispat yükünün kurumda olması. Halihazırda sitede duran paylaşımlar ivedilikle gözden geçirilecek, geçerli şarta dayanmayanlar kaldırılacak veya maskelenecek, işleme sebebi ortadan kalkmışsa 7. madde ve imha yönetmeliği uyarınca silinecek. Sınav ve kura sonuçlarında Kurul iki seçenek bırakıyor: ya yalnızca katılımcıların denetimine olanak veren bir yayın, ya da kişinin sadece kendi sonucunu görebildiği bir yapı; ikincisi için uygun e-devlet platformları veya çift faktörlü doğrulamayla kimlik teyidi işaret ediliyor. Personele eğitim verilmesi de kararın içinde. En çok gözden kaçan kısım ise şu: kapsam internetle sınırlı değil, kurum içi ve kurumlar arası yazışmalar, e-posta iletileri, duyurular, kapalı elektronik ortamlar, pano ve ilan tahtası da aynı kurallara tabi. Servis listesi, atama yazısı eki, nöbet çizelgesi ya da yardım listesi panoya asıldığında da bu ölçütler geçerli.

Belediyeler bu filmi bir kez izledi. Kuruma gelen ihbarlar, belediyelerin emlak vergisi ödeme ve hızlı sorgulama sayfalarında yalnızca TC kimlik numarası girilerek borç bilgisine ulaşıldığını söylüyordu. Kurul 25 Şubat 2021 tarihli ve 2021/140 sayılı kararında üyelik ve şifre ya da çift doğrulama kullanan belediyelerin uygulamasını Kanuna uygun buldu, tek bir bilgiyle borç bilgisine erişilen sistemleri ise 12. maddenin birinci fıkrasının (b) bendine, yani kişisel verilere hukuka aykırı olarak erişilmesini önleme yükümlülüğüne aykırı saydı. Belirli bir belediye hakkında şikâyet bulunmadığı için o aşamada ceza yoluna gidilmedi; dönemin Çevre ve Şehircilik Bakanlığı ile Türkiye Belediyeler Birliği bilgilendirildi ve 9 Nisan 2021 tarihli, 52863 sayılı yazıyla bütün büyükşehir, il, ilçe ve belde belediyelerine uygulamaları sonlandırmak için üç ay verildi. Sürenin sonunda 1.398 belediyenin internet sitesi üzerinden sunduğu borç sorgulama ve ödeme sistemi tek tek incelendi. 21 Ekim 2021 tarihli ve 1077 sayılı kararda bazı belediyelerin gerekli değişikliği yaptığı, birçoğununsa hâlâ tek faktörlü doğrulamada kaldığı görüldü ve aykırılığa sebebiyet verenler hakkında disiplin hükümlerine göre işlem yapılıp sonucun Kurula bildirilmesi talimatlandırıldı. Hüküm o tarihte 18. maddenin üçüncü fıkrasıydı, 2024'teki değişiklikten sonra aynı metin dördüncü fıkrada duruyor. Dosya 21 Nisan 2022 tarihli ve 2022/388 sayılı ilke kararıyla kapandı; karar 29 Nisan 2022 tarihli ve 31824 sayılı Resmî Gazete'de yayımlandı ve belediyelerin ödeme ile borç sorgulama hizmetlerinde üyelik ve şifre ya da çift faktörlü doğrulama kullanmasını zorunlu tuttu.

2022/388'in en kıymetli kısmı teknik ayrımı netleştirmesi. TC kimlik numarası ile doğum tarihi sorulan bir ekran tek kademeli doğrulamadır, çünkü ikinci bilgi de başkalarının kolayca ulaşabileceği bir bilgidir. İkinci kademenin kişiye özel olması gerekiyor: üyelik şifresi ya da kişinin daha önce bildirdiği telefona veya e-postaya iletilen kod. Anne baba adı, doğum tarihi, telefon numarası, sicil numarası gibi alanlarla kurulan ikinci kademe bu tanımı karşılamıyor. Kararın metni ilk doğrulamanın TC kimlik numarası, ad soyad, vergi numarası gibi verilerle yapılabileceğini, ikinci düzeyin ise sadece ilgili kişinin erişebileceği bir veriyle kurulması gerektiğini söylüyor. Aynı mantık bugün su borcu sorgulama, imar durumu, evlendirme randevusu, sosyal yardım başvurusu ve öğrenci işleri ekranları için de geçerli. Bir kurumun sitesinde kaç tane böyle ekran olduğunu saymak yarım gün alır, düzeltmek çoğu zaman bir yazılım sprintidir.

Peki hiç idari para cezası çıkmıyor mu? Çıkıyor, ama muhatabı değişiyor. 18. maddenin ikinci fıkrası cezaları özel hukuk tüzel kişilerine bağladığı için belediyenin kendisi bu kapsamda değil; belediyenin kurduğu anonim ya da limited şirket özel hukuk tüzel kişisidir ve tam kapsamdadır. Belediye şirketinin işlettiği otopark, sosyal tesis, spor okulu, çağrı merkezi veya kent kartı sisteminde bir güvenlik ihlali çıktığında tablo doğrudan şirketin bilançosuna yansır. 2026 tutarları şöyle: aydınlatma yükümlülüğünün yerine getirilmemesi 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL, Kurul kararlarının yerine getirilmemesi 427.263 TL ile 17.092.242 TL, Sicile kayıt ve bildirim yükümlülüğüne aykırılık 341.809 TL ile 17.092.242 TL. Aynı hizmeti belediyenin müdürlüğü verdiğinde para cezası yok, iştiraki verdiğinde var. Hangi verinin hangi tüzel kişilikte işlendiğini yazılı olarak ayırmamış kurumlarda bu soru ilk denetimde masaya geliyor.

Cezanın olmaması Kurulun elini bağlamıyor. 15. maddenin üçüncü fıkrası, Devlet sırrı niteliğindeki bilgi ve belgeler hariç olmak üzere, veri sorumlusunun inceleme konusuyla ilgili istenen bilgi ve belgeleri on beş gün içinde göndermesini ve gerektiğinde yerinde incelemeye imkân sağlamasını istiyor. Beşinci fıkra uyarınca Kurul hukuka aykırılığın giderilmesine karar verir ve bu karar tebliğden itibaren en geç otuz gün içinde yerine getirilir. Yedinci fıkra, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık bulunması hâlinde veri işlemenin durdurulmasına karar verme yetkisi tanıyor; bir sorgulama ekranının kapatılması bu yetkinin somut karşılığıdır. Disiplin tarafında ise saati kimse tutmuyor. 657 sayılı Kanun'un 127. maddesi, fiilin öğrenildiği tarihten itibaren uyarma, kınama, aylıktan kesme ve kademe ilerlemesinin durdurulması cezalarında bir ay içinde disiplin soruşturmasına, memurluktan çıkarmada altı ay içinde kovuşturmaya başlanmazsa ceza verme yetkisinin zamanaşımına uğrayacağını, fiil tarihinden itibaren nihayet iki yıl içinde ceza verilmezse yetkinin yine düşeceğini söylüyor. Kurulun bildirimi geldikten sonra dosyanın birimler arasında dolaştığı üç hafta, kimsenin sorumlu tutulmadığı bir sonuç üretmeye yeter. Belediyede işçi statüsünde çalışanlar bakımından süreç ayrıca İş Kanunu ve varsa toplu iş sözleşmesi çerçevesinde yürür.

Disiplin dosyası kapansa bile ceza dosyası ayrı yürür. Türk Ceza Kanunu'nun 136. maddesi kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişiyi iki yıldan dört yıla kadar hapisle cezalandırıyor. 137. maddenin (a) bendi, suçun kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle işlenmesi hâlinde cezayı yarı oranında artırıyor. 139. madde de önemli: kişisel verilerin kaydedilmesi, hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçları şikâyete bağlı değil, savcılık ihbar üzerine harekete geçebiliyor. Somut hâlleri şunlar: ekrandan tanıdığının adres bilgisine bakan memur, sosyal yardım listesini telefonuyla fotoğraflayan personel, eski eşinin abone kaydını sorgulayan çalışan, seçim öncesi kurum veritabanından iletişim listesi çıkaran birim. Böyle bir iddia geldiğinde kurumun ilk yapması gereken şey, kimin hangi kaydı ne zaman görüntülediğini gösteren erişim kayıtlarına bakmak. Kayıt tutulmuyorsa ihlalin boyutu da ölçülemez, üstelik 12. madde bakımından ayrı bir eksiklik doğar.

Vatandaş tarafında en çok karıştırılan konu tazminat yolu. Kanun'un 14. maddesinin üçüncü fıkrası kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkını saklı tutuyor, fakat veri sorumlusu bir kamu tüzel kişisi olduğunda dosya adliye mahkemelerine değil idari yargıya gidiyor. 2577 sayılı Kanun'un 13. maddesi, idari eylemden hakları ihlal edilenlerin dava açmadan önce eylemi öğrendikleri tarihten itibaren bir yıl ve her hâlde eylem tarihinden itibaren beş yıl içinde ilgili idareye başvurmasını şart koşuyor. Bu istek reddedilirse ya da otuz gün içinde cevap verilmezse dava süresi içinde idare mahkemesinde tam yargı davası açılabiliyor. O otuz günlük süre 2021'de altmış günden indirildi, internetteki pek çok metin hâlâ eski süreyi yazıyor. Dayanak tipik olarak hizmet kusuru oluyor: sorgulama ekranının tek faktörlü bırakılması, ayrılan personelin yetkisinin kapatılmaması, yayından kaldırılması gereken listenin yıllarca sitede durması. Kurula şikâyet ile tam yargı davası birbirinin alternatifi değil, paralel yürüyebilir. Bir de kurumlara gelen taleplerin türünü ayırmak gerekiyor: kişinin kendi verisiyle ilgili talebi 6698 kapsamındadır ve otuz gün içinde cevaplanır, kurumun faaliyetlerine ilişkin bilgi talebi ise 4982 sayılı Kanun kapsamındadır, on beş iş günü içinde karşılanır ve gerekli hâllerde otuz iş gününe çıkar. Üçüncü bir kişinin verisi bilgi edinme başvurusuyla istendiğinde 4982'nin 21. maddesi devreye girer, özel hayatın gizliliği kapsamındaki bilgiler kapsam dışıdır ve kamu yararı gerektiriyorsa ilgiliye en az yedi gün önceden haber verilip yazılı rızası alınması gerekir.

Sık rastlanan bir savunma da kamu kurumlarının 28. madde ile Kanun dışında bırakıldığı iddiası. Metin bunu söylemiyor. Birinci fıkra, millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kurumların önleyici, koruyucu ve istihbari faaliyetlerini ve yargı makamları ile infaz mercilerinin soruşturma, kovuşturma, yargılama ve infaz işlemlerini kapsam dışında tutuyor. İkinci fıkra tam muafiyet değil, kısmi muafiyet getiriyor. Suç işlenmesinin önlenmesi veya suç soruşturması, kişinin kendisi tarafından alenileştirilmiş verilerin işlenmesi, kanunun verdiği yetkiye dayanılarak yürütülen denetleme ve düzenleme görevleri ile disiplin soruşturma veya kovuşturması, bütçe, vergi ve mali konularda Devletin ekonomik ve mali çıkarlarının korunması hâllerinde yalnızca aydınlatma yükümlülüğü, zararın giderilmesini talep etme hakkı hariç ilgili kişinin hakları ve Sicile kayıt yükümlülüğü uygulanmıyor. Genel ilkeler, işleme şartları ve veri güvenliği yükümlülüğü olduğu gibi kalıyor. Bir belediyenin zabıta denetim tutanağı bu çerçevede tartışılabilir; aynı belediyenin yaz spor okulu kayıtları, düğün salonu rezervasyonları, çağrı merkezi ses kayıtları ve personel özlük dosyaları tartışılamaz. Muafiyeti faaliyet bazında değerlendirmek gerekiyor, kurum bazında değil.

Kamu kurumlarında görülen bir başka yaygın hata her işleme için vatandaştan açık rıza almak. Hizmetin alternatifi olmadığı yerde rıza özgür iradeye dayanmaz, üstelik çoğu zaman gerek de yoktur: kurumun görev alanına giren işlerde 5. maddenin ikinci fıkrasındaki kanunlarda açıkça öngörülme, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ve bir hakkın tesisi, kullanılması veya korunması şartları süreçlerin büyük bölümünü karşılar. Rıza gerçekten gereken yerde de biçim önemli; Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı açık rıza ile aydınlatma metinlerinin ayrı ayrı hazırlanmasını konu ediyor. Tek sayfada birleştirilip altında tek imza alanı bırakılan formlar bu çizginin dışında kalıyor. Sicil tarafı da sanıldığı gibi eşiklerle ilgili değil: çalışan sayısı ve mali bilanço eşikleri gerçek ve tüzel kişi veri sorumluları için tanımlandı, kamu kurum ve kuruluşları bakımından böyle bir eşik yok. Kayıt yükümlülüğü 1 Nisan 2019'da başladı ve Kurul'un 11 Mart 2021 tarihli, 2021/238 sayılı kararıyla süre son olarak 31 Aralık 2021'e uzatıldı. Veri Sorumluları Sicili Hakkında Yönetmelik'in 11. maddesinin beşinci fıkrası kamu kurumlarında irtibat kişisini de tanımlıyor: koordinasyonu sağlayacak üst düzey yönetici tarafından belirlenen ve Sicile kaydı yapılan daire başkanı veya üstü yönetici. İrtibat kişisi kurumu temsile yetkili değildir ve bu görevlendirme kurumun sorumluluğunu ortadan kaldırmaz. Kayıtlı bilgiler değiştiğinde yedi gün içinde VERBİS üzerinden bildirim yapılması gerekiyor, en çok atlanan ayrıntı da bu.

Bir başlık daha var, kamu kurumlarının çoğunda hiç konuşulmuyor: parkta, kütüphanede, kültür merkezinde ya da hizmet binasında sunulan ücretsiz Wi-Fi, kurumu 5651 sayılı Kanun kapsamında toplu kullanım sağlayıcı hâline getiriyor, yani iç IP dağıtım kayıtlarını tutup iki yıl saklamak ve suç oluşturan içeriğe erişimi önleyici tedbirleri almak gerekiyor. Bir kamu kurumunda uyumun ilk üç adımı aslında sade: internet sitesinde ve panolarda yayımlanmış kişisel verileri 2026/1301 ölçütleriyle taramak, vatandaşa açık sorgulama ekranlarını çift faktörlü doğrulamaya geçirmek, kim hangi kayda erişiyor sorusunun cevabını yetki matrisi ve erişim kayıtlarıyla belgelemek. KVKK Danışman olarak belediyeler, üniversiteler, il özel idareleri ve belediye şirketleri için ücretsiz ön değerlendirme yapıyoruz; sitenizdeki mevcut yayınları, sorgulama ekranlarınızı ve Sicil kaydınızı inceleyip hangi eksiğin sizi gerçekten riske attığını yazılı olarak paylaşıyoruz.

Randevu Al